Четыре шпионские группы использовали один и тот же эксплойт-кит для Chrome и Windows в течение недели

Аналитики по информационной безопасности обнаружили, что как минимум четыре кластера угроз, мотивированных шпионажем, использовали ранее не документированный эксплойт-кит под названием BlueMoon. Этот инструмент объединяет в себе несколько уязвимостей в Microsoft Windows и Google Chrome, что делает его особенно опасным для корпоративных пользователей и государственных организаций. Первое применение BlueMoon в реальных атаках было атрибутировано группе APT31 (также известной как Bronze Vinewood, Judgement Panda, JungleBamboo), которая связывается с китайскими государственными структурами. Однако в течение последующих семи дней те же эксплойты были замечены в действиях ещё трёх независимых шпионских группировок. Это указывает на возможную утечку или коммерциализацию инструментария, либо на координацию между разными акторами.

Подробности

BlueMoon представляет собой эксплойт-кит, который объединяет цепочки уязвимостей для получения полного контроля над целевой системой. В отличие от типичных наборов эксплойтов, ориентированных на один вектор атаки, BlueMoon использует комбинацию недостатков в браузере Google Chrome и операционной системе Microsoft Windows, что позволяет атакующим преодолевать многоуровневую защиту. Эксплойт-кит использует связку уязвимостей, позволяющих выполнить произвольный код (RCE) с последующей эскалацией привилегий. Использование одних и тех же уязвимостей разными группами в течение столь короткого времени свидетельствует о том, что злоумышленники имеют доступ к общим ресурсам, либо о том, что разработка и распространение подобных инструментов поставлена на поток. Специалисты отмечают, что эксплуатация осуществляется удалённо, а для первоначального доступа часто используются фишинговые письма с вредоносными ссылками или документами. После успешного взлома браузера киты BlueMoon получают возможность обходить sandbox-ограничения Chrome и получать привилегии уровня ядра Windows.

Что делать

Рекомендуется немедленно обновить Google Chrome и Microsoft Windows до последних версий, поскольку производители уже выпустили патчи для закрытия уязвимостей, используемых в BlueMoon. Особое внимание следует уделить корпоративным рабочим станциям и серверам, где риск целевой атаки наиболее высок. Также стоит усилить фильтрацию входящих электронных писем и внедрить дополнительные проверки на наличие вредоносных вложений. Пользователям с повышенными привилегиями рекомендуется использовать отдельные браузеры или виртуальные машины для работы с непроверенными веб-ресурсами. Включение многофакторной аутентификации (MFA) поможет снизить последствия компрометации учётных данных. Специалистам по безопасности стоит проверить журналы событий на предмет признаков использования указанных уязвимостей, особенно в системах, где доступ в интернет осуществляется без шлюзов безопасности. Итог: одновременное использование одного эксплойт-кита разными шпионскими группами — тревожный сигнал о консолидации инструментов в сфере кибершпионажа. Оперативное обновление систем — первоочередная мера защиты.

Источник: The Hacker News